Picus Security analysiert kritische Apache Commons Text-Schwachstelle

Das Cybersicherheitsunternehmen Picus Security hat eine detaillierte Analyse einer kritischen Schwachstelle in der Apache Commons Text-Bibliothek veröffentlicht, bekannt als CVE-2022-42889. Die Schwachstelle weist eine hohe CVSS-Bewertung von 9.8 auf und ermöglicht es nicht authentifizierten Angreifern, beliebige Befehle auf Systemen auszuführen, die die Bibliothek verwenden.

Bei unsicheren Implementierungen entsteht die Schwachstelle, wenn die Bibliothek nicht vertrauenswürdige Eingaben wie DNS-Anfragen oder URLs verarbeitet. Laut Picus Security sind die Versionen 1.5 bis 1.9 von Apache Commons Text betroffen, und die Ausnutzbarkeit hängt auch von der verwendeten Java Development Kit (JDK)-Version ab. Die Auswirkungen der Schwachstelle wurden mit Log4Shell verglichen, ihre Ausnutzbarkeit wird jedoch als ähnlich wie bei Spring4Shell eingeschätzt.

Picus Security empfiehlt ein sofortiges Update der Apache Commons Text-Bibliothek auf Version 1.10.0. Da es sich um eine Schwachstelle auf Bibliotheksebene handelt, ist es für Organisationen unerlässlich, alle abhängigen Produkte und Dienste zu aktualisieren, sobald die Hersteller Patches veröffentlichen. In der Zwischenzeit kann eine ordnungsgemäße Bereinigung externer Eingaben potenziell riskante Situationen verhindern.

Das Unternehmen bietet über seine Plattform auch die Möglichkeit, CVE-2022-42889-Exploits als Teil von Sicherheitstests zu simulieren, um Organisationen bei der Bewertung der Wirksamkeit ihrer Abwehrmaßnahmen und der Identifizierung potenzieller Cybersicherheitslücken zu unterstützen.